Résumé
Les protocoles d’authentification sont les méthodes standardisées utilisées par les systèmes informatiques pour vérifier qu’une personne est bien celle qu’elle prétend être. Dix protocoles courants sont présentés ici, de Kerberos et Lightweight Directory Access Protocol (LDAP) à Open Authorization (OAuth) 2.0, Security Assertion Markup Language (SAML) et Remote Authentication Dial-In User Service (RADIUS), chacun ayant ses propres atouts et limites. Aucun protocole n’étant totalement infaillible, le choix du protocole adapté implique d’évaluer la sensibilité de votre application, votre infrastructure existante, l’effort de mise en œuvre ainsi que la capacité à évoluer sur le long terme.
Comment les protocoles d’authentification protègent vos systèmes
L’authentification est le processus permettant de confirmer l’identité des utilisateurs. Un protocole d’authentification est la méthode utilisée pour ce faire.
Il existe plusieurs protocoles d’authentification. Aucun d’eux n’est totalement infaillible. Toutefois, en choisissant soigneusement votre méthode d’authentification, vous réduirez les risques de piratage et de vol de données.
Qu’est-ce qu’un protocole d’authentification ?
Un protocole d’authentification permet à la partie destinataire (p. ex. un serveur) de vérifier l’identité d’une autre partie (p. ex. une personne utilisant un terminal mobile pour se connecter). La vaste majorité des systèmes informatiques utilisent une forme quelconque d’authentification réseau pour vérifier l’identité des utilisateurs.
Comme un volume croissant d’informations est stocké par voie électronique et que les cybercriminels sont passés maîtres dans l’art de subtiliser les données, l’authentification prend une importance croissante. Sans elle, vous vous exposez à des pertes parfois considérables. Par exemple, Deloitte a été victime d’une brèche de données en 2017 qui a exposé les e-mails de ses clients (dont certains liés à des organismes publics). Certes, rien ne garantit que l’authentification suffira à protéger totalement vos informations. Mais elle compliquera considérablement la tâche des malfaiteurs. Les cyberattaquants iront sans doute voir ailleurs si vos serveurs sont trop difficiles à infiltrer.
Quels sont les types de protocoles d’authentification les plus courants ?
Les administrateurs et administratrices IT disposent de nombreuses options.
| Protocole | Nom complet | Fonctionnement / Cas d’usage principal |
|---|---|---|
| Kerberos | Kerberos | Utilise des clés symétriques provenant d’un centre de distribution de clés centralisé ; courant dans les environnements Windows. |
| LDAP | Lightweight Directory Access Protocol | Protocole ouvert et indépendant des fournisseurs pour accéder aux données d’annuaire et les maintenir à jour (identifiants, mots de passe, adresses e‑mail, etc.). |
| OAuth 2.0 | Open Authorization 2.0 | Permet à une application d’extraire des ressources pour le compte d’un utilisateur sans partager d’identifiants ; facilite les connexions sur différents sites. |
| RADIUS | Service d’authentification à distance des utilisateurs et utilisatrices | Vérifie un nom d’utilisateur et un mot de passe en les comparant à une base de données. |
| SAML | Security Assertion Markup Language | Protocole basé sur XML qui échange des données d’authentification entre les fournisseurs d’identité et les fournisseurs de services. |
| CHAP | Protocole CHAP (Challenge-Handshake Authentication Protocol) | Réauthentifie périodiquement les utilisateurs en cours de session ; chaque défi est différent du précédent. |
| DIAMETER | DIAMETER | Framework pour les messages d’authentification et de comptabilisation ; une amélioration par rapport à RADIUS. |
| EAP | Protocole EAP (Extensible Authentication Protocol) | Utilisé dans les réseaux sans fil et les connexions point à point. |
| PAP | Protocole PAP (Password Authentication Protocol) | L’utilisateur saisit un nom d’utilisateur et un mot de passe, que le système compare à une base de données. |
| TACACS | Système de contrôle d’accès du contrôleur d’accès terminal | Permet l’authentification basée sur l’adresse IP ; les versions ultérieures intègrent le chiffrement. |
Nous en citerons quelques-uns ici, mais sachez qu’il en existe bien d’autres.
Les cinq protocoles d’authentification les plus courants
Les cinq méthodes d’authentification les plus utilisées par les entreprises sont les suivantes :
- Kerberos: si vous possédez un environnement Windows, vous avez utilisé ce protocole. Le système s’appuie sur des clés symétriques extraites d’un centre de distribution de clés centralisé. Même s’il dispose de mécanismes de protection importants, Kerberos n’est pas infaillible. En 2020, Kerberos a arrêté de fonctionner après une mise à jour système.
- Lightweight Directory Access Protocol (LDAP) : Comme nous l’avons expliqué dans un article de blog récent, les entreprises stockent les noms d’utilisateur, les mots de passe, les adresses e‑mail, les connexions aux imprimantes et d’autres données statiques dans des annuaires. LDAP est un protocole applicatif ouvert et indépendant des fournisseurs, permettant d’accéder à ces données et de les maintenir.
- OAuth 2.0 : si vous vous êtes déjà servi des identifiants que vous utilisez sur un autre site web (comme Facebook) pour accéder à un autre site (comme le New York Times), vous avez en fait utilisé OAuth 2.0. Une application récupère les ressources pour vous et vous n’avez pas à partager vos identifiants. Cela dit, ce système peut également être piraté, comme l’a constaté GitHub en 2020.
- RADIUS (Remote Authentication Dial-In User Service) : vous saisissez un nom d’utilisateur et un mot de passe, et le système RADIUS vérifie les informations en les comparant à celles d’une base de données.
- Security Assertion Markup Language (SAML) : Ce protocole basé sur le langage XML (Extensible Markup Language) permet d’échanger des données d’authentification entre les fournisseurs d’identité (IdP) et les fournisseurs de services.
Cinq protocoles d’authentification supplémentaires à connaître
Voici cinq autres types de protocoles d’authentification à connaître :
- CHAP (Challenge-Handshake Authentication Protocol) : ce système réauthentifie périodiquement les utilisateurs, même au cours d’une même session. Chaque demande d’authentification est différente de la version précédente.
- DIAMETER : ce protocole fournit un cadre d’authentification et de traçabilité des utilisateurs. Dérivé de RADIUS, il est considéré comme une version améliorée de ce protocole.
- EAP (Extensible Authentication Protocol) : les réseaux sans fil et les connexions point à point ont souvent recours à EAP.
- PAP (Password Authentication Protocol) : un utilisateur saisit un nom d’utilisateur et un mot de passe que le système compare ensuite à une base de données.
- Terminal Access Controller Access-Control System (TACACS) : Réalisez l’authentification basée sur le protocole Internet (IP) grâce à ce système. Les versions ultérieures de ce protocole intègrent le chiffrement.
Comment choisir un protocole d’authentification
Devant un tel choix, comme opter pour la version qui vous conviendra le mieux ?
Quels sont les principaux facteurs à évaluer avant de choisir un protocole ?
Prenez en compte les éléments suivants :
- Besoins des applications. Quels systèmes et ressources ont besoin d’un accès ? Quels sont leur importance et leur degré de confidentialité ?
- Infrastructure. Quels protocoles pouvez-vous implémenter sans refonte du système existant ?
- Effort. La mise en place du système vous demandera-t-elle beaucoup d’efforts en termes de formation ou de programmation ?
- Avenir. Le système peut-il être étendu pour accompagner la croissance de votre société ?
Foire aux questions (FAQ)
Existe-t-il un protocole d’authentification totalement sécurisé ?
Aucun protocole d’authentification n’offre une sécurité parfaite. Bien que des protocoles robustes réduisent considérablement le risque d’accès non autorisé, des attaquants déterminés peuvent encore identifier des vulnérabilités, comme l’illustrent des brèches réelles ayant touché Kerberos, OAuth 2.0 et d’autres systèmes. L’objectif est de rendre l’accès non autorisé suffisamment difficile pour que les attaquants se tournent vers des cibles plus faciles.
Quelle est la différence entre RADIUS et DIAMETER ?
Les deux protocoles gèrent l’authentification et la comptabilité, mais DIAMETER a été conçu comme une amélioration directe de RADIUS. Il offre un framework plus robuste pour la gestion des messages d’authentification et est généralement considéré comme l’option la plus moderne des deux.
Quand une entreprise doit-elle utiliser SAML plutôt qu’OAuth 2.0 ?
SAML est un protocole basé sur XML conçu pour échanger des données d’authentification entre un fournisseur d’identités et un fournisseur de services, ce qui le rend particulièrement adapté aux scénarios d’authentification unique en entreprise. OAuth 2.0, en revanche, est couramment utilisé lorsqu’une application doit accéder à des ressources pour le compte d’un utilisateur sur différentes plateformes, par exemple lorsqu’une connexion via un réseau social permet d’accéder à un site web tiers.
Quels facteurs doivent guider le choix d’un protocole d’authentification ?
Quatre éléments clés sont présentés dans l’article : la sensibilité des systèmes et des ressources nécessitant un accès, la compatibilité du protocole avec votre infrastructure existante, le niveau de formation ou d’effort de programmation requis pour sa mise en œuvre, ainsi que la capacité du protocole à suivre le rythme de la croissance de votre entreprise.
Qu’est-ce qui fait de Kerberos un choix fréquent dans les environnements d’entreprise ?
Kerberos est largement utilisé dans les environnements Windows, car il repose sur des clés symétriques distribuées via un centre de distribution de clés centralisé, offrant des protections d’authentification forte. Cependant, cela n’est pas sans risque, une mise à jour de sécurité en 2020 ayant provoqué l’arrêt du fonctionnement de Kerberos sur certains systèmes Windows, ce qui souligne l’importance de tester les mises à jour avant leur déploiement.
Qu’est-ce que CHAP et pourquoi ce protocole offre-t-il une sécurité de session plus robuste que les protocoles plus simples ?
Le protocole d’authentification par défi-réponse (CHAP) va plus loin qu’une simple vérification de connexion ponctuelle en réauthentifiant régulièrement les utilisateurs tout au long d’une session active. Comme chaque défi est unique et diffère du précédent, il est plus difficile pour un attaquant de réutiliser des identifiants capturés afin d’obtenir un accès.
Références
When Two-Factor Authentication Fails: Rethinking the Approach to Identity Security. Février 2018. Forbes.
Windows Kerberos Authentication Breaks Due to Security Updates. Novembre 2020. Bleeping Computer.
Hackers Stole GitHub and GitLab OAuth Tokens From Git Analytics Firm Waydev. Juillet 2020. ZDNet.
